Data Processing Agreement

Perjanjian Pemrosesan Data, versi 1

Berlaku mulai 2026-09-20. AstroWay API, api.astroway.info.

1. Siapa kami dan apa yang dicakup ini

Perjanjian ini adalah antara kamu, Pelanggan, bertindak sebagai pengendali data, dan Maksym Burkhan, pengusaha perorangan (ФОП), Ukraina, yang mengoperasikan api.astroway.info sebagai pemroses datamu berdasarkan Pasal 28 GDPR.

Ini berlaku selama akunmu ada dan kamu mengirimkan permintaan ke API, dan ini hanya mengatur data yang kamu kirimkan melalui API. Detail akunmu sendiri adalah masalah terpisah, di mana kami adalah pengendali dan kebijakan privasi kami berlaku.

2. Apa yang kami proses, dan mengapa

Pokok bahasan dan tujuan. Kamu mengirimkan data kelahiran ke API: tanggal, waktu jam, zona waktu atau offset, dan koordinat. Kami menghitung hasil astrologi dan mengembalikannya. Itulah seluruh tujuannya, dan panggilan API adalah instruksimu.

Kategori subjek data. Pengguna akhirmu, atau siapa pun yang momen kelahirannya kamu kirimkan.

Jenis data. Tanggal dan waktu lahir, koordinat, serta kolom name dan city yang opsional. name dan city tidak pernah disimpan: keduanya disimpan dalam memori selama durasi permintaan dan tidak ditulis di mana pun.

Durasi. Selama akunmu aktif, tunduk pada bagian 9.

Apa yang kami catat tentang panggilan, bukan tentang orangnya. Endpoint, method, status, latensi, jumlah byte, ringkasan (digest) IP address pemanggil yang tidak dapat dibalikkan dan telah diberi salt serta 16 bit pertama dari alamat tersebut, User-Agent, origin, serta negara, kota, dan operator jaringan secara kasar. Kami menyimpannya selama 30 hari.

3. Apa yang kami janjikan

• Kami memproses datamu hanya berdasarkan instruksi terdokumentasi darimu, yaitu panggilan API yang kamu buat dan instruksi tertulis apa pun yang kamu kirimkan kepada kami, kecuali jika hukum UE atau negara anggota mensyaratkan lain, dalam hal ini kami akan memberitahumu sebelum memproses kecuali jika hukum tersebut melarangnya.
• Jika suatu instruksi terlihat melanggar hukum bagi kami, kami akan segera menyatakannya daripada melaksanakannya secara diam-diam.
• Layanan ini dioperasikan oleh satu orang, yang terikat pada kerahasiaan dan merupakan satu-satunya manusia dengan akses administratif.
• Kami menjaga langkah-langkah keamanan di bagian 5.
• Kami membantumu menjawab permintaan subjek data, dan membantu kewajibanmu berdasarkan Pasal 32 hingga 36, sejauh hal itu mungkin dan dengan mempertimbangkan apa yang kami miliki. Kualifikasi itu adalah milik hukum itu sendiri, dan di sini konkretnya: kami tidak menyimpan nama, email, dan pengidentifikasi apa pun untuk pengguna akhirmu, jadi kami biasanya tidak dapat menemukan baris data satu orang di pihak kami. Kamu bisa, melalui catatanmu sendiri, dan DELETE /v1/me/account menghapus semua yang kami miliki untuk akunmu.
• Kami tidak menggunakan datamu untuk tujuan kami sendiri, tidak menjualnya, dan tidak menggunakannya untuk melatih model.

4. Sub-pemroses

Dua, dan mereka adalah infrastrukturnya:

Sub-pemroses	Peran	Lokasi
Hetzner Online GmbH	komputasi, database, dan penyimpanan file	Nuremberg, Jerman
Cloudflare, Inc.	CDN, DNS, dan perlindungan DDoS, dengan aturan cache wilayah UE	Perusahaan AS, edge UE melayani lalu lintas UE

Kami membebankan kewajiban perlindungan data yang sama kepada mereka seperti yang kami emban di sini, dan kami tetap bertanggung jawab penuh kepadamu atas apa yang mereka lakukan.

Kamu memberikan otorisasi umum untuk kedua ini. Kami akan memberitahumu melalui email sebelum menambahkan atau mengganti salah satunya, dan kamu dapat mengajukan keberatan berdasarkan alasan perlindungan data yang wajar; jika kami tidak dapat menyelesaikan keberatan tersebut, kamu dapat berhenti menggunakan layanan dan kami akan mengembalikan dana bagian yang tidak terpakai dari periode yang telah kamu bayar.

Vendor pembayaran dan email kami sengaja tidak ada dalam tabel itu, karena mereka tidak pernah melihat data yang dicakup oleh perjanjian ini. Brevo mengirimkan email transaksional kepadamu, dan Monobank menerima pembayaran kartu, dengan LiqPay akan ditambahkan pada Oktober 2026. Keduanya berkaitan dengan akunmu daripada pengguna akhirmu, jadi mereka disebutkan dalam kebijakan privasi sebagai gantinya.

5. Keamanan

• Transport hanya TLS, dan HTTP biasa dialihkan.
• Kata sandi di-hash dengan bcrypt dan kunci API disimpan dalam bentuk hash.
• Alamat IP disimpan hanya sebagai SHA-256 yang diberi salt, dihitung saat baris ditulis. Salt berada di lingkungan server, tidak pernah dalam kode.
• Akun database dipisahkan per konsumen, masing-masing dengan izin paling terbatas yang berfungsi, dan database hanya mendengarkan pada loopback.
• Cadangan dienkripsi dengan AES-256 sebelum meninggalkan mesin.
• Akses administratif menggunakan kunci SSH, satu orang, tidak ada kredensial bersama.

Apa yang tidak kami miliki, karena mengklaimnya akan lebih buruk daripada mengatakannya: kami tidak memiliki laporan SOC 2 dan sertifikat ISO 27001 sendiri. Hetzner memiliki ISO/IEC 27001 untuk pusat data tempat server kami berada.

6. Transfer, dinyatakan dengan jelas

Datamu diproses di server di Nuremberg, Jerman, dan kami tidak mereplikasinya di luar EEA.

Namun demikian, kami didirikan di Ukraina, yang tidak memiliki keputusan kecukupan berdasarkan Pasal 45. Berdasarkan Pedoman EDPB 05/2021, hal itu saja menjadikan ini transfer ke negara ketiga, begitu pula akses administratif dari Ukraina ke server Jerman tersebut, karena akses jarak jauh dihitung bahkan ketika tidak ada yang disalin. Jadi kami tidak memberitahumu bahwa tidak ada transfer lintas batas; ada, dan inilah yang mencakupnya.

Kami mengadakan Klausul Kontrak Standar dari Keputusan Pelaksanaan (EU) 2021/914, Modul Dua (pengendali ke pemroses), yang digabungkan ke dalam perjanjian ini melalui referensi dan berlaku di atasnya jika keduanya bertentangan. Bagian 2, 5, dan 4 dari perjanjian ini berfungsi sebagai Lampiran I, II, dan III secara berturut-turut. Salinan yang ditandatangani yang menyebutkan kedua belah pihak tersedia berdasarkan permintaan di legal@astroway.info.

Apa yang ditransfer dalam praktiknya adalah akses administratif terautentikasi ke sistem di Jerman, bukan ekspor database.

7. Menunjukkan bahwa kami mematuhi

Kami memberimu informasi yang kamu butuhkan untuk menunjukkan kepatuhan terhadap Pasal 28 melalui perjanjian ini dan deskripsi keamanan kami di atas, dan kami akan melengkapi satu kuesioner keamanan tertulis yang wajar dalam periode dua belas bulan mana pun tanpa biaya.

Jika itu tidak cukup, kamu dapat mengaudit kepatuhan terhadap perjanjian ini sekali dalam periode dua belas bulan mana pun, dengan pemberitahuan tertulis tiga puluh hari, secara jarak jauh, selama jam kerja, hanya mencakup pemrosesan yang kami lakukan untukmu dan tidak pernah data pelanggan lain. Kamu menanggung biaya audit dan auditor mana pun yang kamu tunjuk. Batasan ini tidak berlaku jika otoritas pengawas memerlukan inspeksi.

8. Jika terjadi pelanggaran

Kami memberitahumu tanpa penundaan yang tidak semestinya setelah menyadari adanya pelanggaran data pribadi yang memengaruhi data yang kami proses untukmu, melalui email ke alamat akunmu. Pemberitahuan pertama mungkin tidak lengkap, dan kami akan menindaklanjuti saat kami mengetahui lebih banyak.

Kami tidak memiliki detail kontak untuk pengguna akhirmu, jadi pemberitahuan kepada mereka berdasarkan Pasal 34 tetap menjadi tanggung jawabmu.

9. Mengakhirinya

Ketika akunmu berakhir, beritahu kami apakah kamu ingin data yang kami miliki untukmu dikembalikan atau dihapus, dan kami akan melakukannya. Jika kamu tidak memberitahu kami apa pun, kami akan menghapusnya.

Satu-satunya pengecualian adalah apa yang diwajibkan oleh undang-undang pajak untuk kami simpan: catatan pembayaran, selama 1095 hari berdasarkan §44.3 dari Kode Pajak Ukraina. Tiga tahun, bukan tujuh tahun seperti yang diperkirakan dalam draf teks sebelumnya. Pasal 17(3)(b) GDPR meninggalkan catatan yang disimpan untuk kewajiban hukum di luar hak untuk penghapusan, itulah sebabnya permintaan penghapusan tidak mencakupnya.

10. Menerima perjanjian ini

Kamu menerimanya di dasbormu, dan catatan penerimaan itu menyebutkan akunmu, versi, dan momennya. Pasal 28(9) mensyaratkan kontrak harus dalam bentuk tertulis, “termasuk dalam bentuk elektronik”, sehingga catatan itu adalah kontrak dan tidak ada yang perlu ditunggu. PDF yang dapat kamu unduh membawa catatan yang sama. Salinan kertas yang ditandatangani bersama tersedia berdasarkan permintaan.

Jika kami mengubah teks ini secara material, itu menjadi versi baru dan kami memintamu untuk menerima versi tersebut; versi yang kamu terima tetap menjadi versi yang kamu setujui.